Googleは、中国のAndroidデバイスメーカーを締め出すとともに、同社が構築に関与していた130万台超のセットトップボックスからなるボットネットを、パートナー企業と協力して解体したことを明らかにしました。
Google脅威インテリジェンスグループ（GTIG）は11月2日に公開したブログ記事で、Android ODM/OEMのVideostrong Technologyが、ボットネットおよびバックドア「XCPE」に責任を負っていると「高い確信度をもって」評価していると述べました。
「Videostrongは、犯罪者のアフィリエイトにバックドアへのアクセス権を販売し、そのアフィリエイトのマルウェアモジュールを感染デバイスに読み込ませることで、バックドアを収益化していました」と、同グループは説明しています。
「これらの二次モジュールは、広告詐欺を行っていたほか、感染デバイスを気づかれないままレジデンシャルプロキシネットワークに登録したり、XCPEに侵害されたデバイスに追加のマルウェアを読み込ませたりしていました」
ボットネットに関する関連記事：中国系ボットネット、Microsoft 365攻撃でMFAを回避
今回の業界横断の対策では、Videostrongの犯罪者アフィリエイトが利用していたXCPEのコマンド＆コントロール（C2）サーバーも機能停止に追い込まれました。これらのサーバーは、被害者のデバイスに十数種類を超えるマルウェアファミリーをインストールするために使われていました。Googleによると、この措置によって、侵害された1,000万台超のデバイスがボット管理者の支配から切り離されたということです。
「この悪意あるソフトウェアが、複数年にわたり、さまざまなデバイスのモデルやブランドに直接組み込まれていたことを確認しました。専用のインフラと、検知を回避しアフィリエイトを管理するために絶えず変化する設定がそれを支えていました」と、ブログは続けています。
「このキャンペーンは、内部の不正者による単独犯行や、開発上の見落としではないと考えています。そのためGoogleはVideostrongとの関係を断ち、Googleアプリをプリロードしたデバイスの製造を禁止しました」
XCPEボットネットには、セットトップボックスのほか、侵害された遠隔医療機器、カラオケ機、デジタルサイネージ機器も含まれていました。
XCPEの仕組み
Googleによると、Videostrongは、XCPEバックドアをファームウェアに組み込んだデバイスを、数年にわたって販売していました。
バックドア本体の「x.cpe」は、android.uid.systemの権限レベルで動作します。ユーザーが削除しようとしても、再起動時に/oem/パーティションから自動的に再インストールされます。
起動時にはC2サーバーに接続し、コマンドの送受信にMQTTメッセージブローカーを使用します。これにより、アフィリエイトはシェルスクリプトの実行、Google Play Protectの無効化、追加アプリの無断インストールといった不正操作を遠隔から実行できました。
Videostrongはさらに、侵害したデバイスへのバックドアアクセスを収益化するため、他の事業者のマルウェアモジュールもインストールしていました。対象には、Linkfog、AppSalt/Honeygain、GaGaNode、NetNut、Traffmonetizerといったレジデンシャルプロキシサービスの事業者が含まれます。
こうしたサービスは、アカウント乗っ取り、決済詐欺、広告・クリック詐欺、Webスクレイピング、DDoSなど、サイバー犯罪を支えるもう一つの有力な手段となっています。
「今回の措置は十数の悪意ある攻撃者に深刻な打撃を与えたと考えていますが、その土台にある違法市場は回復力があります」と、Googleは結びで警告しました。
「バックドアの運営者、広告詐欺グループ、レジデンシャルプロキシ事業者は、相互につながったサプライチェーンとして活動しており、どこかが妨害されても、すぐに新しいローダーや競合する収益化SDKへ乗り換えます。持続的な変化を生み出すには、ハードウェアのサプライチェーン、レジデンシャルプロキシ業界、そして広くテクノロジーのエコシステム全体で責任を果たす必要があります」
翻訳元: https://www.infosecurity-magazine.com/news/police-tech-firms-team-up-to/
